無論是以藍田股份和銀廣夏為代表的上市公司，還是三九集團、中航油集團等大型國有企業集團，抑或是南方證券等金融機構，它們的毀滅或危機無不成為失控的“標本”。這些曾經輝煌的企業，并非毫無管制的爛攤子，有的甚至還建立了全面、系統的內控制度，但其關鍵環節的風險卻并未得到有效控制。問題到底出在哪里呢？

　　我國企業內部控制實施的主要缺陷

　　隨著內部控制思想的深化和各主管部門監管措施的強化，我國企業已經普遍認同并重視內部控制，并將其作為企業發展中的重大問題來考慮，但受文化觀念、思維模式和基礎條件的限制，企業的內部控制仍然存在以下問題：

　　（一）部門分割，政出多門，導致控制體系缺失

　　內部控制在于業務全過程和全員的風險控制。一方面，風險的識別和評估必須得到各部門全過程的參與，另一方面內控作用的主體也是業務各環節的部門和人員。因此，內部控制設計和實施的整體性決定了內部控制的效率和效果。我國企業的組織結構總體是沿用資源特性和屬性進行橫向分割設計的，不可避免地形成了部門割據、利益紛爭的特征。各部門對內部控制的理解、執行都無不打上部門利益的烙印。例如，關系到企業競爭能力和運營效率的企業產品成本控制，不僅在于財務部門核算的控制，還在于設計、采購、生產、庫管、銷售各環節的共同控制。而設計部門的業務取向在于產品的質量和功能的實現；采購部門的業務取向在于完成生產需求，熟悉的供應商、便利的采購方式成為業務的首選；生產部門的業務取向在于安全完整地完成產品的生產，對業務效率、產品成本鮮有考慮；銷售部門的業務取向在于產品的銷售和推于，價格策略、賒銷和銷售折扣成為其業務的首選。上述部門的立場和利益無不和內控的最終目標相背離，財務部門對企業生產和結果核算，只能是對運營過程事后的反映，成本控制已是“無力回天”。

　　（二）整體性不足，高度不夠，導致控制效果不佳

　　我國企業內部控制普遍缺乏整體性，主要表現在內部控制的制定、主體內容和方式都帶有部門色彩。目前，企業內控主要由內審部、風險管理部或財務部主導。內審部的職責和功能主要在于業務和風險的核查監督，內審部門主導的內部控制帶有事后評價和核查的色彩，缺乏事前和事中控制，從而背離了全面內部控制的初衷。財務部門主導的內部控制偏重于財務效果和運營效率風險，而對于業務過程本身的業務屬性關注不夠，使得內控體系給業務帶來影響和沖突，甚至最終導致與營運效果相背離。風險管理部門的職責在于全面監控企業的總體風險，并對重點業務和環節進行風險監控。由風險管理部門主導的內部控制對于總體業務風險能夠從體系上把握，但對于業務關鍵點和控制點的認識卻不及其他具體業務部門明晰，其內部控制的現實性、可操作性都受到很大挑戰

　　（三）流于形式，疏于執行，導致內控形同虛設

　　許多企業對于內部控制的理解是片面的認為內部控制就是制定各種各樣的制度和手冊，企業追求形式的動力遠遠大于內控實施的需求，不愿意實質性地改變企業管理和運營的模式、過程和方法。更加可怕的是，一旦蒙上內控的外衣而行無控之實，更會加大失控的潛在威脅。中航油新加坡公司的悲劇不是沒有內部控制體系和制度造成的。中航油聘請安永會計師事務所為其制定了《風險管理手冊》和《財務管理手冊》，公司曾經以擁有這樣一套“與國際接軌”的風險管理制度為榮。根據《風險管理手冊》規定，中航油設有7人組成的風險管理委員會，風險控制為五級制：交易員—風險控制委員會—內審部交叉檢查—首席執行官—董事會，層層上報。每名交易員損失20萬美元時要向公司風險管理委員會匯報；累計損失達35萬美元時要向首席執行官匯報，得到其同意才能繼續；任何導致50萬美元以上損失的交易將自動平倉。但是，中航油最終高達5.5億美元虧損額的事實卻無情地戳穿了中航油的“內控謊言”。

　　完善內部控制的路徑選擇

　　（一）尋找適合的方式—中國特色的“希金森小船”是最佳選擇

　　盟軍1944年6月在諾曼底登陸成功很大程度上要歸功于一種極富特色的戰略登陸快艇。但這種快艇并不是軍方認為功能齊全、安全系數高的軍用船艦，而是由民間造船師安德魯·杰克遜·希金森設計制造的、適宜采礦者和狩獵者在路易絲安那的沼澤地中使用的簡易的小木船。

　　企業內部控制向何處去？美國《薩班斯奧克斯利法案》要求的全面而苛刻的內控，因為其不切實際的大而全、強制要求花費巨大已為企業界詬病。在中國市場環境尚不健全的前提下，兼之“上有政策、下有對策”的“政策應對”思維，如果照搬美國內控模式，就很有可能陷入不切實際的形式主義泥潭，不但無端增加企業運營成本，而且最終會影響內控的嚴肅性和有效性。在中國，不同所有制的企業運營模式不同，價值取向迥異，企業控制方式和方法也不盡相同；不同行業的企業、同一行業不同階段的企業、同一行業同一階段不同規模的企業面臨的運營風險、人員風險都不相同，這些不同注定了企業內控的模式、方法和機制的差異。中國企業的內控更需要適合登陸中國的“希金森小船”。合適的才是最好的。

　　（二）確立制度的安排—法人治理和內部控制的結合

　　內部控制是企業各階層的利益均衡，在逐漸成熟的市場機制中，在所有權和經營權相分離的前提下，內部控制必須由企業管理層在高度壓力、動力的前提下才得以展開和實施。內部控制只有作為企業的一項制度，而不是一個運動，才能持續、有效地達到控制的效果。

　　作為一項制度安排，企業應將公司治理與內部控制有效對接。在公司治理結構的框架內解決對董事會和總經理的控制、監督和激勵問題；在內部控制的框架下解決對總經理以下的業務執行部門和崗位的控制和激勵問題（李連華，2005）。具體來說，企業可以在董事會下設立審計委員會，明確審計委員會對總經理的控制、監督和激勵。我國相當一部分企業的監事會在監督方面也起了重要作用，通過監事會可以對董事和總經理實施監督與控制。在此前提下，內部控制相關部門如企業內部審計部門、風險管理部門等的定位也涉及到內控的切實制度安排問題。強化內部控制的職能、提高內部控制的地位，理想的模式是將企業內控相關部門直接隸屬治理中的審計委員會或監事會。鑒于企業人員管理和業務內容影響和治理發展的現實，階段性地將企業內控部門業務由治理委員會指導，人員和業務由總經理管理，不失為一項過渡性的制度安排。

　　（三）強化制度的執行—業務流程和風險管理的契合我國企業缺少的不是制度和政策，缺少的是統合觀念下的風險辨識和風險規范制度的實施，缺少的是讓制度得以執行的具體方法。流程管理實質就是按照業務發展和運行邏輯關系進行工序安排，以保證產品和操作過程的規范和可復制性，從而提高功效和效果(質量)。內部控制設計需要借鑒和運用流程設計原理，進行業務運行邏輯關系的梳理；同時，按照資源的稀缺程度和資源數量要求分析出業務流程的關鍵點，根據企業經驗和實踐，找出關鍵點中財務影響最突出、錯弊頻率最高的業務點即風險點作為控制點。針對各種錯弊和失誤，在此控制點中制定出相應的措施和方法，以減少其發生的概率和損失。這樣，在業務實施的過程中自覺將業務風險加以控制和防范，內部控制的思想和各種要求都在各項業務和管理過程中得以實現。習慣成自然，企業在沒有規范流程和防范風險系統的運行模式時，實施內部控制將是一個從思想到方式的變革，甚至會產生強烈的陣痛。然而，隨著內控過程對風險的規避和化解，企業的利益得以保障，企業各層次將逐漸接受以內控流程模式實施業務運營。當企業反復運行并遵從內部控制流程時，風險管理就會成為企業的習慣。因此，以流程為模式的內部控制可以有效保證企業風險管理被長期、習慣地遵從。